security - 保护 Firebase : Preventing administrators from being able to see all users' data in the Forge?

Question

我正在构建一个应用程序来存储用户的潜在私有(private)笔记。对我来说有点奇怪的是，我可以进入 Firebase Forge UI 并查找任何人编写的任何内容，这也意味着任何以某种方式获得我的 Firebase 帐户访问权限的人都可以进入并选择“导出 JSON”获取我所有用户的数据。

显然，我对我的帐户很谨慎，并且是一个谨慎的人，但对于管理员来说，不有权访问我们所有用户的数据通常似乎是一个好的做法。

我能想到的实现此目的的唯一方法是将所有内容存储在已由用户密码加密的字符串化 JSON 中，但这显然会使处理 Firebase 变得更加烦人，并且会阻止对以下数据的精细访问事物被字符串化和加密的点。

<小时/>

编辑:再想一想，这并不是 Firebase 特有的，而是大多数/所有数据存储的情况，除非您特意这样做。

Answer 1

保证信息安全的唯一方法是在服务器上手动进行自己的加密。您可以托管您的 Firebase 连接服务器端，并让您的用户通过 SSL 将数据发送到该服务器，然后从那里进行加密，然后使用 Firebase 的 SSL 地址进行存储。

在客户端，怀疑有 CSS 攻击。如果你真的想走这条路，你可以使用这个库中的 js 加密:http://code.google.com/p/crypto-js/ 。请注意，crpto-js 独立运行良好，但您还需要确保您的网页没有被篡改(IMOP 很难做到，因为您不知道是什么感染了用户计算机)